Si tu empresa ya usa IA para atender clientes, redactar correos o resumir reuniones, casi seguro que esa IA está tocando datos personales: nombres, teléfonos, direcciones, incidencias, a veces datos económicos. Y ahí entra el RGPD, que sigue aplicándose igual aunque el tratamiento lo haga un agente en vez de una persona.
La buena noticia es que cumplir no es complicado si se hace desde el principio. Lo caro es arreglarlo después. Esto es lo que ha pasado este año y lo que deberías revisar.
Qué ha cambiado en 2026
La AEPD ya habla de agentes de IA
A comienzos de 2026 la Agencia Española de Protección de Datos publicó unas orientaciones sobre IA agéntica desde la perspectiva de protección de datos. Hablan de sistemas que no solo responden preguntas, sino que planifican, usan herramientas y actúan con poca supervisión. Según el análisis de Osborne Clarke, poner un agente en un proceso que ya existía puede obligarte a revisar el registro de actividades, los destinatarios de los datos, las transferencias internacionales, los plazos de conservación y las medidas de seguridad.
Traducido: el agente que contesta a tus clientes no es «una herramienta más». Cambia cómo viajan los datos por tu empresa.
Europa retrasa parte del Reglamento de IA, pero no el RGPD
Según Cuatrecasas, el Consejo de la UE aprobó el 29 de junio de 2026 el llamado Ómnibus Digital sobre IA. Las obligaciones de los sistemas de alto riesgo, que empezaban el 2 de agosto de 2026, pasan al 2 de diciembre de 2027 para los sistemas autónomos del Anexo III y al 2 de agosto de 2028 para los integrados en productos regulados.
Cuidado con la conclusión equivocada. Ese retraso afecta al Reglamento de IA, no al RGPD. Las obligaciones de protección de datos llevan en vigor desde 2018 y la AEPD puede sancionar hoy. Además, la propia Agencia ha incluido en su plan de actuación 2026 el análisis de la calidad, exactitud y minimización de datos en tratamientos con IA.
Los modelos entrenados con datos personales no son anónimos por defecto
El Comité Europeo de Protección de Datos (EDPB) dejó claro en su Dictamen 28/2024 que la anonimia de un modelo de IA se evalúa caso por caso y que el listón es alto. Para una pyme que usa IA de terceros, la lección práctica es sencilla: no des por hecho que lo que metes en una herramienta «desaparece».
Los cinco riesgos reales en una pyme
- Herramientas gratuitas o personales. Un empleado pega la queja de un cliente en un chat de IA con su cuenta personal. Esos datos salen de tu control.
- Sin contrato de encargado del tratamiento. Si un proveedor trata datos de tus clientes por tu cuenta, necesitas un contrato que lo regule.
- Más datos de los necesarios. El principio de minimización dice que solo debe verse lo imprescindible para la tarea.
- Falta de trazabilidad. Si un agente actúa solo, debes poder saber qué hizo, con qué datos y cuándo.
- Información insuficiente al cliente. Quien te escribe debe saber que habla con una IA y cómo se tratan sus datos.
Checklist para usar IA con datos de clientes
- Inventario: lista qué herramientas de IA se usan en la empresa y qué datos reciben.
- Contrato: firma un acuerdo de encargado del tratamiento con cada proveedor que toque datos personales.
- Ubicación y entrenamiento: comprueba dónde se procesan los datos y si el proveedor los usa para entrenar sus modelos. Elige condiciones que lo excluyan.
- Permisos mínimos: el agente solo accede a lo que necesita, con lectura antes que escritura.
- Registro de actividades: actualiza tu registro de tratamientos con el nuevo uso.
- Aviso al cliente: actualiza tu política de privacidad e indica cuando se atiende con IA.
- Persona al mando: define qué casos escala a un humano (reclamaciones, datos sensibles, decisiones con efectos importantes).
- Política interna: una página con lo que se puede y no se puede pegar en herramientas de IA.
Ejemplo práctico: un agente de atención al cliente en una clínica veterinaria
Imagina una clínica que quiere que un agente responda por WhatsApp y correo sobre citas y vacunas. Un recorrido razonable sería este (es un ejemplo genérico, no un caso real):
- Define la finalidad. Gestionar citas y resolver dudas básicas. Nada más.
- Decide qué datos ve. Nombre, mascota, próxima cita. No el historial de pagos ni notas internas.
- Elige proveedor con garantías. Contrato de encargado, tratamiento en la UE o con cláusulas adecuadas, y sin uso de los datos para entrenar modelos.
- Avisa. El primer mensaje indica que atiende un asistente virtual y enlaza la política de privacidad.
- Limita las acciones. Puede proponer y reservar huecos; no puede borrar citas ni modificar fichas.
- Escala. Ante una urgencia, una queja o una petición de acceso o supresión de datos, pasa el caso a una persona con el contexto resumido.
- Registra. Se guarda qué consultó y qué respondió, con un plazo de conservación definido.
- Revisa. Cada trimestre se leen conversaciones al azar para detectar fallos.
Comparativa rápida de opciones
| Opción | Control de datos | Riesgo RGPD | Cuándo tiene sentido |
|---|---|---|---|
| Chat de IA gratuito con cuenta personal | Bajo | Alto | Nunca con datos de clientes |
| Herramienta de empresa con contrato y sin entrenamiento | Medio-alto | Medio | Tareas generales de equipo |
| Agente a medida con permisos acotados y registro | Alto | Bajo, si está bien diseñado | Atención al cliente y procesos con datos |
Lo que conviene recordar
- El retraso del Reglamento de IA no te exime del RGPD.
- Desplegar un agente es un cambio de tratamiento: toca revisar registro, contratos y avisos.
- La seguridad se diseña desde el principio; añadirla después cuesta más y protege menos.
- Esto es información general, no asesoramiento jurídico. Para casos con datos sensibles, consulta con tu delegado de protección de datos o con un abogado.
Siguiente paso
Si quieres montar atención al cliente con IA sin dejar cabos sueltos de privacidad, podemos revisar juntos tu caso: qué datos intervienen, qué debe hacer el agente y dónde entra una persona. Reserva una videollamada y lo vemos sin compromiso.